Vad syns av personnumret i ettsignerat avtal?

När en part signerar med svenskt BankID hämtas personnumret som en del av identitetskontrollen. Det hamnar då i den signerade handlingen — både i den läsbara redovisningen av vem som skrivit under och i handlingens tekniska bevisdata. För signeringsmetoder som inte bygger på personnummer syns däremot inget sådant nummer. Frågan återkommer ofta i offentlig sektor, eftersom en signerad handling där kan bli en allmän handling. Här går vi igenom varför, vad som syns och vilka alternativ som finns. 

Varför är personnummer kopplat till e-signering?

Svenskt BankID är knutet till innehavarens personnummer. När en person signerar med svenskt BankID bekräftar tjänsten vem hon är genom att slå upp just det numret. Personnumret är alltså inte en valfri uppgift som läggs till i efterhand — det är själva grunden för att identifieringen ska bli säker. Det är också det som gör att en svensk BankID-signatur når nivån Avancerad elektronisk signatur (AES) enligt eIDAS. Ett av kraven är nämligen att undertecknaren kan identifieras på ett säkert sätt.

Kopplingen sätter samtidigt en gräns: svenskt BankID utfärdas inte till personer som bara har ett samordningsnummer. För parter som inte kan använda svenskt BankID behövs därför en annan signeringsmetod.

Vad brukar synas i en signerad handling?

En korrekt signerad elektronisk handling innehåller normalt en verifikationssida med en händelselogg (ett digitalt aktivitetsspår). Den visar vem som har signerat, med vilken metod och vid vilken tidpunkt. Vad som redovisas där styrs av vilken identifieringsmetod parten använt:

• Signering med svenskt BankID redovisar typiskt personnumret, eftersom det ingår i den identitet svenskt BankID intygat.
• Signering med metoder utan personnummerkoppling — exempelvis engångskod via SMS, klicksignatur eller ritad underskrift — redovisar inget personnummer.

Det finns en nyans som är lätt att missa. Även när ett personnummer inte skrivs ut synligt kan det ändå finnas kvar i handlingens inbäddade tekniska data. Detta är de maskinläsbara bevisdata som hör till underskriften. Personnumret är där en del av den tekniska beviskedjan och går normalt inte att ta bort i efterhand utan att försvaga bevisvärdet. Hanterar ni handlingar signerade med svenskt BankID? Då bör ni känna till att numret kan finnas kvar i filen – även när det inte syns på själva sidan. 

Varför är frågan särskilt viktig i offentlig sektor?

Hos en myndighet blir ett signerat avtal i regel en allmän handling. Vid en begäran om utlämnande gör myndigheten en sekretessprövning som vanligt — och personuppgifter som finns i handlingen omfattas av den prövningen. Vår erfarenhet är att just kedjan från personnummerbaserad signering till möjligt utlämnande är det som oftast tas upp i upphandlingar inom offentlig sektor.

Det är myndigheten själv som är personuppgiftsansvarig och bedömer vad som får lämnas ut. Men ni kan påverka hur mycket personuppgifter som hamnar i handlingen från början. Det gör ni genom att välja rätt signeringsmetod och tillämpa dataminimering enligt GDPR – det vill säga att ni bara samlar in de uppgifter som behövs för ändamålet. 

Vilka alternativ finns för att begränsa personnumret?

Det finns flera sätt att begränsa personnumret i handlingen:

• Signeringsmetoder utan personnummerkoppling — där en part inte behöver knytas till ett svenskt personnummer kan en lättare metod räcka. Den ger ett lägre bevisvärde, men inget personnummer redovisas.
• Signering i en organisations namn — när en organisation själv står som undertecknare, snarare än en namngiven privatperson, knyts ingen fysisk persons personnummer till den underskriften. Tekniskt ligger detta närmare ett elektroniskt sigill (en stämpel för en juridisk person eller organisation) än en personlig signatur.
• E-tjänstelegitimation — en e-tjänstelegitimation (till exempel SITHS, Freja Org eID eller EFOS) är vid utfärdandet kopplad till en fysisk person och dennes personnummer. Den kan dock konfigureras så att undertecknaren identifieras med ett tjänste-ID — inom vården ofta ett HSA-ID — i stället för personnumret. Då slipper personnumret hamna i den signerade handlingen. Samtidigt bär underskriften fortfarande med sig viktiga uppgifter om anställning, roll och behörighet. Det är en av huvudanledningarna till att vård och offentlig förvaltning använder e-tjänstelegitimationer.

Vilket alternativ som passar beror på avtalstypen, vilket bevisvärde som krävs och hur känslig handlingen är. Det handlar sällan om att undvika personnummer helt, utan om att medvetet välja rätt nivå för varje part.

Hur eAvtal hanterar detta

I eAvtal väljer ni signeringsmetod per part. Det gör att ni kan styra integritetsnivån avtal för avtal. Använd stark identifiering med svenskt BankID när bevisvärdet behöver vara högt. Välj en lättare metod om ett personnummer inte får hamna i handlingen. Personnumret samlas bara in när metoden kräver det. 

Vill ni veta mer?

Funderar ni på hur personnummer och offentlighetsprincipen ska hanteras i just er signeringsprocess? Hör av er till oss så går vi igenom vilka signeringsmetoder som passar era avtalstyper och era integritetskrav.